Política de privacidad

Última actualización: 2026-10-20

Esta página explica qué datos trata DiviEasy, para qué, con qué base legal y durante cuánto tiempo. Está escrita a partir de lo que la aplicación hace de verdad hoy, no de una plantilla.

Quién responde de tus datos

Titular: John Michael Chung
NIF: Z3667171X
Domicilio: 46022 Valencia, Valencia, España
Contacto: atencionalcliente@divieasy.com

Hay que distinguir dos situaciones, porque el papel cambia:

• De sus propios datos, DiviEasy es responsable. Las cuentas del personal y de los dueños de local, las cifras de uso del servicio y los mensajes que nos envías por WhatsApp o por correo las decide y las gestiona el titular.
• De los datos de los comensales de un bar, el responsable es ese bar. Es el bar el que decide para qué quiere el servicio y qué hace con la información de sus mesas; DiviEasy actúa como encargado del tratamiento, es decir, trata esos datos por cuenta del bar y siguiendo sus instrucciones, y no los usa para nada propio.

Si eres comensal y quieres ejercer un derecho sobre lo que pasó en una mesa, puedes escribirnos igualmente: lo trasladamos al bar o lo resolvemos directamente, según corresponda.

Este sitio web

Las páginas de este sitio (la portada, este texto y el aviso legal) son informativas. No usan cookies, ni analítica, ni píxeles, ni scripts de terceros, y no hay formularios. No se instala nada en tu navegador al leerlas.

Si nos escribes. Puedes hacerlo por WhatsApp, con el botón de la portada, o por correo a atencionalcliente@divieasy.com. En los dos casos tratamos lo que nos mandes —tu número o tu dirección, tu nombre o el de tu negocio si nos lo das, y el contenido del mensaje— sólo para contestarte y, si te interesa, explicarte el servicio. Base jurídica: el consentimiento (artículo 6.1.a del RGPD): quien nos escribe lo hace por su propia iniciativa y, al hacerlo, acepta que le contestemos. Conservamos los mensajes de WhatsApp durante tres meses desde el último mensaje de la conversación y los correos durante tres meses desde el último correo de la conversación.

WhatsApp es un servicio de Meta, no nuestro. Al pulsar el botón sales de este sitio. Lo que envíes pasa por los servidores de WhatsApp y se rige también por su política de privacidad, lo que puede suponer que se trate fuera del Espacio Económico Europeo, por ejemplo en Estados Unidos.

El único dato que se trata es el que cualquier servidor web recibe al servir una página —dirección IP, fecha y hora, página pedida y tipo de navegador—, que el proveedor de alojamiento guarda en sus registros técnicos durante un periodo limitado para mantener el servicio disponible y seguro. La base jurídica es el interés legítimo en la seguridad y el funcionamiento del sitio.

Si tu navegador detecta que la página intenta cargar algo que su política de seguridad no permite, envía un informe técnico a este mismo sitio (a nuestro propio servidor, no a un tercero) con la página afectada y la regla incumplida. No lleva datos personales y sirve para corregir el problema.

La aplicación en el bar

Si eres comensal

Cuando escaneas el QR de una mesa entras sin registrarte: no se te pide nombre, correo, teléfono ni contraseña, y no se crea ninguna cuenta. Lo que se crea es una sesión anónima con un identificador aleatorio que se guarda en tu propio navegador. Ese identificador sirve para dos cosas: que los platos que añades y la parte que confirmas sean tuyos y no de otro móvil de la mesa, y que recuperes tu sitio si cierras la pestaña o se te apaga el móvil. No está vinculado a tu identidad ni a ningún dato que te identifique.

Durante el servicio se guarda:

• El nombre que escribes si la mesa reparte por producto. Es texto libre y lo eliges tú: puede ser tu nombre de pila, un apodo o una inicial. No se comprueba. Pero si escribes tu nombre real, es un dato personal, y por eso se cuenta aquí.
• El reparto: qué platos se ha marcado cada persona, en qué cantidad, quién se los asignó si lo hizo otro, los importes que corresponden y si cada parte está confirmada o pagada.
• Lo pedido en la mesa: producto, cantidad y el precio y los alérgenos en el momento de pedir, que quedan congelados.
• El idioma en el que lees la carta (español o inglés), asociado a tu dispositivo.
• Si pulsas «dejar reseña» al cerrarse la cuenta. Queda registrado, junto con el identificador anónimo de tu dispositivo, que desde ese móvil se abrió el enlace a Google. Se guarda una sola vez por móvil y por mesa, y lo que ocurra después en Google no vuelve a DiviEasy: no sabemos si escribiste una reseña, ni qué pusiste.
• Tu dispositivo como participante de la mesa: el identificador anónimo y la hora del primer y del último escaneo.

Nada de esto se usa para publicidad, no se cruza con otras fuentes, no se vende y no se cede a terceros. No se elabora ningún perfil y no hay decisiones automatizadas que te afecten.

Si eres personal o dueño de un local

Las cuentas del personal sí son cuentas de verdad: llevan correo electrónico y contraseña, un nombre, un rol (plataforma, dueño o camarero) y unos permisos. Además queda traza de la actividad: qué mesas se abrieron y cerraron, qué comandas se confirmaron, qué cobros se marcaron y qué filas se modificaron, con quién y cuándo. Esa traza es lo que permite cuadrar la caja y aclarar una discrepancia sobre un cobro, y por eso incluye el detalle de lo que cambió.

Las contraseñas no las guardamos nosotros: las gestiona el servicio de autenticación de Supabase, cifradas, y nadie del titular ni del local puede leerlas.

Para qué, y con qué base legal

• Prestar el servicio que has pedido —ver la carta, pedir, repartir la cuenta y que el bar pueda cobrarte—: es la ejecución de la relación contractual con el bar y, respecto al comensal, el interés legítimo en que la mesa pueda usar la herramienta que el bar le ofrece.
• Seguridad, auditoría y resolución de incidencias —saber quién tocó un importe y cuándo, detectar abusos, corregir errores—: interés legítimo del titular y del bar. Sin esta traza, una discusión sobre un cobro no se puede resolver.
• Las cifras de actividad del bar —ventas por día, platos más pedidos, tiempos de servicio—: interés legítimo del bar en conocer su propio negocio. Se calculan de forma agregada.
• Cumplir obligaciones legales —contables, fiscales y de información al consumidor, como los alérgenos—: cumplimiento de una obligación legal.
• Contestar a quien nos escribe —por WhatsApp o por correo—: el consentimiento (artículo 6.1.a del RGPD): quien nos escribe lo hace por su propia iniciativa y, al hacerlo, acepta que le contestemos.

No hay boletines ni publicidad, y no mandamos comunicaciones comerciales que nadie haya pedido. Si un bar nos escribe para pedir información, le contestamos dentro de esa conversación, y no volvemos a escribir a quien no responde.

Cookies y lo que se guarda en tu navegador

No hay banner de consentimiento, y no es un olvido. No se usa ninguna cookie de analítica, de publicidad ni de terceros, así que no hay nada que consentir: todo lo que se guarda es estrictamente necesario para que el servicio funcione, y eso está exento de consentimiento según el artículo 22.2 de la LSSI. Esto es lo que hay, una por una:

• La sesión de Supabase. Lo que te mantiene identificado —como comensal anónimo en tu móvil, o como personal en la tablet y el panel—. En las páginas públicas de este sitio no se pone: sólo existe dentro de la aplicación.
• stp:cola — los pedidos y cobros que has pulsado y todavía no han salido del móvil porque el wifi del bar se cayó. Se reenvían al volver la conexión, caducan a las 24 horas y se descartan tras varios intentos. Si se borrara, se perdería una comanda que crees hecha.
• stp_lang — el idioma que elegiste para la carta.
• stp:visitas y stp:instalar-no — cuántas veces has entrado y si ya dijiste que no querías instalar la app en la pantalla de inicio. El segundo existe precisamente para no volver a preguntártelo.
• staff:contraste — si el personal activó el modo de alto contraste para trabajar a pleno sol. Sólo en la tablet de barra.
• Cachés del service worker (stp-v5-shell, -static, -carta, -sesion) — copias de la carta, de los ficheros del sitio y de los datos de tu mesa, para que la aplicación siga funcionando cuando la conexión va y viene. La de datos de mesa no se usa si tiene más de cinco minutos: antes que enseñarte un importe caducado, la aplicación dice que no hay conexión.

Todo esto vive en tu navegador y lo puedes borrar cuando quieras desde los ajustes del sitio. Al hacerlo pierdes tu sesión anónima: si la mesa sigue abierta, volverás a entrar como un dispositivo nuevo.

Quién más interviene, y dónde están los datos

DiviEasy no tiene servidores propios. Como encargados del tratamiento intervienen estos proveedores, con contrato que les obliga a tratar los datos sólo para prestar su servicio:

• Supabase — la base de datos y la autenticación. El proyecto está alojado en la Unión Europea, en Fráncfort (Alemania). Ahí viven los pedidos, el reparto, los cobros y las cuentas del personal.
• Vercel — el alojamiento del sitio y de la aplicación. Sirve las páginas desde su red de distribución, con nodos en Europa; las que se generan al momento se ejecutan en Fráncfort (Alemania). Guarda registros técnicos de las peticiones.
• Zoho Mail — el correo de atencionalcliente@divieasy.com. Trata lo que nos escribas por esa dirección: tu remitente, el asunto, el contenido del mensaje y lo que adjuntes. Es la vía por la que se ejercen los derechos de abajo, así que un mensaje sobre tus datos pasa necesariamente por ahí. El buzón está alojado en Estados Unidos.

WhatsApp —el canal de contacto de la portada— es un servicio de Meta con sus propias condiciones. Usamos WhatsApp Business. Los chats tienen copia de seguridad en iCloud (Apple), un proveedor estadounidense. Así que, además de Meta, interviene Apple, como proveedor de esa copia de seguridad.

No se envían datos a ningún servicio de analítica, de publicidad ni de monitorización de errores.

Transferencias fuera del Espacio Económico Europeo. La base de datos con los pedidos, el reparto y los cobros está en Alemania y no se transfiere. Sí hay transferencia en estos casos:

• El correo. El buzón de contacto está alojado en Estados Unidos, así que lo que nos escribas —incluida una solicitud sobre tus datos— se trata allí. La transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea, que es el mecanismo del capítulo V del Reglamento en el que Zoho declara apoyarse.
• WhatsApp. Si nos escribes por WhatsApp, el mensaje lo trata Meta, que puede llevarlo fuera del EEE, incluido Estados Unidos. Las garantías que aplica las explica su política de privacidad. Además, la copia de seguridad de esos chats está en iCloud, de Apple, un proveedor estadounidense, así que también puede tratarse fuera del EEE.
• El alojamiento. Vercel es una empresa estadounidense. Las páginas que se generan al momento se ejecutan en Fráncfort (Alemania), y sus tareas de soporte y administración pueden implicar acceso desde fuera del EEE, también al amparo de cláusulas contractuales tipo.

Si en el futuro se incorpora otro proveedor, o cambia la región o la garantía de alguno, esta página lo dirá antes.

Durante cuánto tiempo

Lo que el sistema hace de forma automática:

• Una mesa que se queda 12 horas sin ninguna señal de vida se cierra sola. Cerrar una mesa no borra lo que pasó en ella: deja de estar activa y de aceptar cambios.
• Los registros internos que evitan cobrar dos veces el mismo acto se borran a los 7 días.

El nombre que escribes en el reparto se anonimiza 90 días después de cerrarse la mesa. No es una intención: lo hace una tarea automática que corre cada noche. A partir de ese momento tu nombre pasa a ser «Anónimo 1», «Anónimo 2»… y se borra también el identificador anónimo de tu móvil, tanto de la mesa como de la traza interna de cambios. Deja de haber forma de saber quién fue quién en esa comida, y eso es irreversible.

Los importes y los registros contables se conservan más tiempo, y es a propósito: son la contabilidad del bar y la única prueba de qué se cobró si alguien reclama. Se guardan durante los plazos que exige la normativa —con carácter general, seis años desde el último asiento para los libros y registros mercantiles (artículo 30 del Código de Comercio) y cuatro años de prescripción fiscal (artículo 66 de la Ley General Tributaria)—. Lo que queda de una mesa antigua, pasados los 90 días, son cifras sin nombre: qué se pidió, cuánto costó y qué se cobró.

Aparte del nombre, la sesión anónima que se te crea al escanear deja también un registro de usuario anónimo en el sistema de autenticación: una fila sin correo, sin contraseña y sin ningún dato tuyo, que es lo que permite que recuperes tu sitio si cierras la pestaña. Esos registros se eliminan periódicamente cuando llevan mucho tiempo sin usarse. Todavía no hay un plazo fijado para esa limpieza; cuando se decida, esta página lo dirá. No contienen información que permita identificarte: pasado el plazo de 90 días de arriba, ya no están enlazados con ninguna mesa.

Las cuentas del personal se conservan mientras la persona siga dada de alta; al darla de baja se le corta el acceso y su ficha permanece en el historial, porque borrarla dejaría sin autor las operaciones que hizo. Eso no es dato de comensal: es el registro de actividad del propio bar, del que responde él.

El criterio general es que ningún dato se guarda más allá de lo necesario para el fin que lo justifica, y que nada se conserva con el único propósito de poder identificar a alguien más tarde. Si quieres que se suprima algo antes de esos 90 días, escríbenos.

Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a atencionalcliente@divieasy.com. Responderemos en el plazo de un mes desde la solicitud, prorrogable dos meses más si el caso es complejo, avisándote.

Un aviso práctico si eres comensal: como no hay cuenta ni ningún dato que te identifique, no podemos saber qué mesa fuiste sólo porque nos escribas. Para localizar una sesión concreta necesitaremos que nos digas el local, la fecha y la hora aproximada, y el nombre que escribiste si lo hubo. Si no hay forma razonable de relacionar los datos contigo, el Reglamento nos permite no atender la solicitud, y te lo explicaremos.

Si crees que el tratamiento no es correcto, puedes reclamar ante la Agencia Española de Protección de Datos (https://www.aepd.es), que es la autoridad de control en España. También puedes dirigirte antes a nosotros: suele ser más rápido.

Menores

El servicio no está dirigido a menores de 14 años y no se recogen conscientemente sus datos. Como no hay registro, la aplicación no pregunta la edad ni la comprueba: lo que sí evita es pedir cualquier dato identificativo a quien escanea un QR. Si tienes conocimiento de que un menor de 14 años ha facilitado datos —por ejemplo, su nombre real en el reparto—, escríbenos y los suprimiremos.

Seguridad

El control de acceso no vive en la aplicación sino en la propia base de datos: cada tabla tiene políticas de seguridad a nivel de fila (RLS) que determinan qué puede ver y escribir cada quien, de modo que un móvil de una mesa no alcanza los datos de otra mesa ni de otro local, aunque lo intente a mano. Los cálculos de dinero se hacen en el servidor, no en el móvil, y las operaciones sensibles sólo las puede ejecutar el personal del local.

El comensal nunca se identifica con un dato personal, sino con una sesión anónima. Y en esta fase no hay pasarela de pago: no se tratan datos de tarjeta, en ningún momento y en ninguna pantalla. El cobro es presencial.

El tráfico va cifrado, las páginas llevan cabeceras de seguridad que limitan qué puede ejecutarse en ellas, y los informes de error que se recogen no incluyen contraseñas, tokens ni el identificador de la mesa. Como en cualquier sistema, esto reduce el riesgo pero no lo elimina: si detectas un problema, puedes avisarnos por la vía que indica /.well-known/security.txt.

Cambios en esta política

Si la aplicación cambia lo que guarda, para qué lo guarda o quién interviene, esta página cambia con ella y se actualiza la fecha del principio. No se notifica cada cambio uno a uno, así que si el asunto te importa, merece la pena volver a leerla de vez en cuando. El aviso legal completa esta información con las condiciones de uso.